AWS Secrets Manager 에이전트

리포지토리에 제공된 install 스크립트를 실행합니다.

스크립트는 시작 시 무작위 SSRF 토큰을 생성한 후 이를 /var/run/awssmatoken 파일에 저장합니다. 설치 스크립트가 생성하는 awssmatokenreader 그룹에서 토큰을 읽을 수 있습니다.

애플리케이션이 토큰 파일을 읽을 수 있도록 하려면 애플리케이션을 실행하는 사용자 계정을 awssmatokenreader 그룹에 추가해야 합니다. 예를 들어 다음 usermod 명령을 사용하여 토큰 파일을 읽을 수 있는 권한을 애플리케이션에 부여할 수 있습니다. 여기서 <APP_USER>는 애플리케이션을 실행하는 사용자 ID입니다.

sudo usermod -aG awssmatokenreader <APP_USER>

Secrets Manager Agent 사이드카 컨테이너에 대한 Dockerfile을 생성합니다. 다음 예제에서는 Secrets Manager Agent 바이너리를 사용하여 Docker 컨테이너를 생성합니다.

# Use the latest Debian image as the base
FROM debian:latest

# Set the working directory inside the container
WORKDIR /app 

# Copy the Secrets Manager Agent binary to the container
COPY secrets-manager-agent . 

# Install any necessary dependencies
RUN apt-get update && apt-get install -y ca-certificates 

# Set the entry point to run the Secrets Manager Agent binary
ENTRYPOINT ["./secrets-manager-agent"]

애플리케이션에 대한 Dockerfile을 생성합니다.

Docker Compose 파일을 생성하여 두 컨테이너를 모두 실행한 다음, 둘 다 동일한 네트워크 인터페이스를 사용하는지 확인합니다. 이렇게 해야 하는 이유는 Secrets Manager Agent가 localhost 인터페이스 외부의 요청을 수락하지 않기 때문입니다. 다음 예제에서는 Docker Compose 파일을 보여줍니다. 여기에서 network_mode 키는 secrets-manager-agent 컨테이너를 client-application 컨테이너의 네트워크 네임스페이스에 연결하는데, 이는 서로 동일한 네트워크 인터페이스를 공유할 수 있도록 해줍니다.

version: '3'
services:
    client-application:
    container_name: client-application
    build:
        context: .
        dockerfile: Dockerfile.client
    command: tail -f /dev/null  # Keep the container running
    

    secrets-manager-agent:
    container_name: secrets-manager-agent
    build:
        context: .
        dockerfile: Dockerfile.agent
    network_mode: "container:client-application"  # Attach to the client-application container's network
    depends_on:
        - client-application

Dockerfiles 및 Docker Compose 파일이 포함된 동일한 디렉터리에 secrets-manager-agent 바이너리를 복사합니다.

다음 docker-compose 명령을 사용하여, 제공된 Dockerfile을 기반으로 컨테이너를 빌드하고 실행합니다.

docker-compose up --build

이제 클라이언트 컨테이너에서 Secrets Manager Agent를 사용하여 보안 암호를 검색할 수 있습니다. 자세한 내용은 3단계: Secrets Manager Agent를 사용하여 보안 암호 검색 단원을 참조하십시오.

http://localhost:2773/secretsmanager/get?secretId=MyTest를 쿼리하는 Python Lambda 함수를 생성하여 보안 암호를 가져옵니다. 애플리케이션 코드에 재시도 로직을 구현하여 Lambda 확장의 초기화 및 등록 지연을 수용할 수 있도록 해야 합니다.

Secrets Manager Agent 코드 패키지의 루트에서 다음 명령을 실행하여 Lambda 확장을 테스트합니다.

AWS_ACCOUNT_ID=<AWS_ACCOUNT_ID>
LAMBDA_ARN=<LAMBDA_ARN>

# Build the release binary 
cargo build --release --target=x86_64-unknown-linux-gnu

# Copy the release binary into the `bin` folder
mkdir -p ./bin
cp ./target/x86_64-unknown-linux-gnu/release/aws_secretsmanager_agent ./bin/secrets-manager-agent

# Copy the `secrets-manager-agent-extension.sh` script into the `extensions` folder.
mkdir -p ./extensions
cp aws_secretsmanager_agent/examples/example-lambda-extension/secrets-manager-agent-extension.sh ./extensions

# Zip the extension shell script and the binary 
zip secrets-manager-agent-extension.zip bin/* extensions/*

# Publish the layer version
LAYER_VERSION_ARN=$(aws lambda publish-layer-version \
    --layer-name secrets-manager-agent-extension \
    --zip-file "fileb://secrets-manager-agent-extension.zip" | jq -r '.LayerVersionArn')

# Attach the layer version to the Lambda function
aws lambda update-function-configuration \
    --function-name $LAMBDA_ARN \
    --layers "$LAYER_VERSION_ARN"

Lambda 함수를 간접적으로 호출하여 보안 암호를 올바르게 가져오는지 확인합니다.